Zitat von _698

das ist nur das Vorgeplänkel.

Glaub ich gerne.

Zitat von _698

Relevant: win12.exe->bound.exe->code injection, auf meiner Testkiste Edge.
Der Keylogger ist aktiviert.
Die Log.tmp befindet sich hier %TEMP%, wenn sie noch nicht gelöscht wurde.

Kannst du mit 100%iger Sicherheit sagen, welche Art von Daten abgegriffen werden?

Das ist ja das, was den TO interessiert.

Du sagtest ja:

Der Angreifer bekommt via Telegram eine Nachricht über die gelungene Attacke neben ein paar Eckdaten wie Betriebssystem etc..
Es liegt an ihm, wie er das RAT einsetzt.

Sagt ja alles.

Zitat von M-K-D-B

Kannst du mit 100%iger Sicherheit sagen, welche Art von Daten abgegriffen werden?

Ja, ich kann das bei mir nachvollziehen.

Wichtig für den Hilfesuchenden wäre %TEMP%\Log.tmp.

Welche Funktionen des RATs der Angreifer im Einzelfall genau benutzt, weiß nur er.
Allein schon die Möglichkeit, weitere Malware zu installieren, bietet enormes Potenzial.